NIS2 Essential ve Important Entity Ayrımı 2026: Kim Hangi Kategoriye Girer?
| Konu | Essential entity | Important entity |
|---|---|---|
| Ana yükümlülükler | Article 20, 21 ve 23 uygulanır | Article 20, 21 ve 23 uygulanır |
| Denetim yaklaşımı | Önceden ve olay sonrası daha geniş denetim | Kural olarak ihlal/emare sonrası denetim |
| Azami idari para cezası standardı | Article 34’te daha yüksek asgari AB üst sınırı | Article 34’te ayrı asgari AB üst sınırı |
| Sınıflandırma temeli | Article 3 + sektör + büyüklük + özel statü | Article 3 + sektör + büyüklük + özel statü |
NIS2’de essential ve important ayrımının hukuki dayanağı nedir?
NIS2 sınıflandırmasının başlangıç noktası Article 3tür. Direktif, kapsamdaki kuruluşları “essential entities” ve “important entities” olmak üzere iki ana gruba ayırır. Bu kavramlar Türk hukukundaki “kritik altyapı” veya şirketin ticari önem derecesiyle eş anlamlı değildir. Sınıflandırma AB hukukundaki özel tanımlara göre yapılır.
Önce Article 2 kapsamında NIS2’nin şirkete uygulanıp uygulanmadığı belirlenir. Daha sonra faaliyet Annex I veya Annex II sektörleriyle eşleştirilir. Sonraki aşamada şirketin büyüklüğü ve Article 3’te sayılan özel haller değerlendirilir. Dolayısıyla doğru sıra “biz kritik bir şirketiz, o halde essential’ız” değildir; hukuki kapsam adım adım kurulmalıdır.
Birden fazla AB ülkesinde faaliyet gösteren gruplarda her tüzel kişi ve her hizmet için aynı sonuç çıkmayabilir. Bir grup şirketi essential, başka bir grup şirketi important olabilir; kapsam dışı kalan tüzel kişiler de bulunabilir.
Annex I ile Annex II arasındaki fark nedir?
Annex I, “sectors of high criticality” başlığı altında enerji, ulaşım, bankacılık, finansal piyasa altyapıları, sağlık, içme suyu, atık su, dijital altyapı, ICT hizmet yönetimi, kamu yönetimi ve uzay gibi alanları içerir. Annex II ise posta ve kurye hizmetleri, atık yönetimi, kimyasalların üretimi/imalatı/dağıtımı, gıda üretimi/işlenmesi/dağıtımı, belirli imalat sektörleri, dijital sağlayıcılar ve araştırma kuruluşları gibi “other critical sectors” kapsamındadır.
Ancak “Annex I = her zaman essential, Annex II = her zaman important” formülü doğru değildir. Article 3 büyüklük ve özel statü koşullarını ayrıca düzenler. Bu nedenle yalnız ek numarasına bakarak sınıf belirlemek hukuki hata yaratabilir.
Örneğin bir şirketin teknoloji faaliyeti çok geniş olabilir; fakat NIS2 bakımından hangi hizmeti sunduğu önemlidir. Bulut bilişim hizmeti, veri merkezi hizmeti, yönetilen hizmet veya çevrim içi pazar yeri gibi tanımların her biri ayrı incelenir.
Şirket büyüklüğü NIS2 sınıflandırmasını nasıl etkiler?
NIS2, genel kural olarak belirli sektörlerde orta ve büyük ölçekli kuruluşlara odaklanır. Şirket büyüklüğü değerlendirmesi AB’nin mikro, küçük ve orta ölçekli işletme ölçütleriyle bağlantılıdır. Çalışan sayısı ile yıllık ciro/bilanço ölçütleri tek başına soyut okunmamalı; bağlı işletme ve ortak işletme ilişkileri de dikkate alınmalıdır.
Bu nokta grup şirketleri açısından kritiktir. Yalnız ilgili AB şirketinin bordro çalışanlarını ve tekil bilançosunu esas alıp “küçüğüz” sonucuna varmak hatalı olabilir. AB KOBİ hesaplama kurallarında bağlı şirket verilerinin belirli koşullarda hesaba katılması gerekir.
Şirketin NIS2 kapsam analizi hazırlanırken son onaylı finansal veriler, çalışan sayısı, grup yapısı ve kontrol ilişkileri dosyalanmalıdır. Sonraki yıl büyüklük değişirse statü tekrar gözden geçirilmelidir.
Hangi kuruluşlar essential entity olabilir?
Article 3, Annex I’deki yüksek kritiklik sektörlerinde faaliyet gösteren ve belirli büyüklük eşiğini aşan kuruluşların essential statüsüne girmesini öngörür. Bunun yanında büyüklükten bağımsız şekilde essential kabul edilebilen bazı özel kuruluşlar ve üye devlet tarafından kritik öneme sahip olarak tanımlanabilecek haller vardır.
Essential statü, şirketin “daha ağır teknik standarda” tabi olduğu anlamına gelmez; Article 20, 21 ve 23’teki ana yükümlülükler important kuruluşlar için de geçerlidir. Farkın önemli kısmı Article 32 denetim rejiminde görülür. Yetkili makamlar essential kuruluşlarda yerinde denetim, hedefli güvenlik denetimleri, düzenli ve hedefli güvenlik denetimleri, bilgi talepleri ve diğer önleyici araçları daha geniş biçimde kullanabilir.
Bu yüzden essential kuruluşun denetim hazırlığı sürekli olmalıdır. Politikaların yalnız olay olduktan sonra hazırlanması uygun değildir; Article 20 kurul kararları, Article 21 kontrol kanıtları ve Article 23 olay prosedürleri sürekli güncel tutulmalıdır.
Important entity olmak yükümlülükleri azaltır mı?
Important entity, NIS2’de “önemsiz kuruluş” anlamına gelmez. Bu kuruluşlar da aynı ana siber risk yönetimi ve olay bildirim yükümlülüklerine tabidir. Article 33 uyarınca denetim yaklaşımı, yetkili makamın kuruluşun NIS2 yükümlülüklerini ihlal ettiğine ilişkin delil, belirti veya bilgi sahibi olması halinde devreye giren ex-post ağırlıklı bir sistemdir.
Bu fark, important şirketin belge hazırlamaması veya olay prosedürü kurmaması için gerekçe değildir. Bir olay, ihbar, müşteri şikâyeti veya diğer bilgi üzerine makam inceleme başlattığında kuruluş Article 21 kontrollerinin fiilen uygulandığını göstermek zorunda kalabilir.
Özellikle Türk tedarikçilerin AB’deki bağlı şirketleri, “important olduğumuz için NIS2 bize hafif uygulanıyor” ifadesini sözleşme görüşmelerinde kullanmamalıdır. Müşterinin tedarik zinciri yükümlülüğü kendi statüsünden bağımsız olarak güvenlik kanıtı isteyebilir.
Büyüklükten bağımsız NIS2 kapsamı hangi hallerde doğabilir?
NIS2, bazı kuruluşların büyüklük eşiğinden bağımsız olarak kapsama alınabilmesini öngörür. Bunun nedeni, küçük görünen bir işletmenin dahi hizmet niteliği nedeniyle geniş sistemik etki yaratabilmesidir. DNS hizmetleri, üst seviye alan adı kayıtları ve belirli elektronik haberleşme veya kritik hizmet bağlantıları bu yaklaşımın örneklerindendir.
Ayrıca üye devlet, hizmetin toplum veya ekonomi için özel önemi, tek sağlayıcı olma durumu ya da kesintinin kamu güvenliği veya halk sağlığı üzerinde önemli etkisi gibi NIS2 ölçütleri üzerinden belirli kuruluşları tanımlayabilir.
Bu nedenle kapsam notunda yalnız “250’den az çalışanımız var” şeklinde tek satırlık gerekçe yeterli değildir. Faaliyetin büyüklükten bağımsız kapsama girip girmediği Article 2 ve Article 3’te ayrıca kontrol edilmelidir.
Essential ve important kuruluşların denetimi nasıl farklıdır?
Article 32 essential kuruluşlara yönelik denetim ve yaptırım tedbirlerini, Article 33 ise important kuruluşlara yönelik denetim sistemini düzenler. Essential kuruluşlar bakımından yetkili makamların hem ex-ante hem ex-post araçları bulunur. Yerinde denetim, uzaktan denetim, düzenli/hedefli güvenlik denetimi, güvenlik taraması, bilgi ve belge talebi gibi yetkiler kullanılabilir.
Important kuruluşlarda denetim daha çok ihlal şüphesi veya delili üzerine ex-post nitelikte başlar. Bununla birlikte inceleme başladıktan sonra makamın belge ve güvenlik kanıtı isteme yetkileri küçümsenmemelidir.
Denetim farkı şirketin iç kontrol takvimine yansıtılmalıdır. Essential kuruluşlarda periyodik iç denetim ve kurul raporlaması daha sık planlanmalı; important kuruluşlarda da olay sonrası hızlı delil sunabilme kapasitesi korunmalıdır.
Article 34 para cezaları bakımından fark nedir?
Article 34, üye devletlerin idari para cezaları için etkili, orantılı ve caydırıcı sistem kurmasını ister. Direktif, essential ve important kuruluşlar için farklı asgari azami ceza seviyeleri belirler. Essential kuruluşlar bakımından üst sınırın en az 10 milyon avro veya önceki mali yılın dünya çapındaki toplam yıllık cirosunun %2’sinden hangisi yüksekse o düzeyde olmasını; important kuruluşlar bakımından ise en az 7 milyon avro veya dünya çapındaki yıllık cironun %1,4’ünden hangisi yüksekse o düzeyde olmasını öngörür.
Bunlar “her ihlalde otomatik ceza” değildir ve doğrudan Türkiye’de uygulanacak tutar olarak okunamaz. Somut ceza, ilgili üye devletin NIS2’yi iç hukuka aktaran mevzuatı, yetkili makamın değerlendirmesi, ihlalin ciddiyeti, süresi ve diğer yasal ölçütler üzerinden belirlenir.
Şirketin ceza riskini yalnız tutar üzerinden değerlendirmesi de eksiktir. Denetim kararı, düzeltici tedbir, yönetim organına yönelik sonuçlar ve ticari müşterilerin sözleşmesel talepleri de finansal etki yaratabilir.
Şirket gruplarında NIS2 sınıflandırması nasıl yapılmalı?
Çok uluslu gruplarda en sık hata, bütün gruba tek statü vermektir. NIS2 analizi tüzel kişi, hizmet ve ülke bazında yapılmalıdır. Bir holdingin Almanya’daki bulut şirketi ile Fransa’daki lojistik şirketi farklı Annex ve ulusal mevzuat kapsamında değerlendirilebilir.
Grup merkezinin Türkiye’de bulunması AB şirketlerinin yükümlülüklerini kaldırmaz. Tersine, merkezi SOC, bilgi güvenliği, insan kaynakları veya bulut altyapısı Türkiye’den sağlanıyorsa, AB’deki kuruluş Article 21 tedarik zinciri ve güvenlik kontrolleri kapsamında Türk grup şirketinden sözleşmesel güvence istemelidir.
Kişisel veri içeren merkezi hizmetlerde KVKK yurt dışına veri aktarımı ile GDPR transfer ve güvenlik hükümleri ayrıca analiz edilmelidir. Türkiye’deki siber güvenlik çerçevesi için 7545 sayılı Kanun rehberimiz de ayrı hukuki katman oluşturur.
NIS2 sınıflandırma dosyasında hangi belgeler bulunmalı?
- şirketin güncel ticaret sicili ve organizasyon şeması,
- AB’deki tüm tüzel kişiler ve hizmet lokasyonları,
- Annex I/II faaliyet eşleştirme tablosu,
- çalışan sayısı, ciro ve bilanço verileri,
- bağlı/ortak işletme ilişkileri,
- Article 2’deki büyüklükten bağımsız kapsam kontrolü,
- Article 3 essential/important gerekçesi,
- yetkili üye devlet ve ulusal aktarım mevzuatı,
- varsa ulusal otorite kaydı veya bildirim belgesi,
- yıllık statü gözden geçirme tutanağı.
Bu dosya, NIS2 2026 ana rehberindeki Article 20, 21 ve 23 uyum belgelerine bağlanmalıdır. Böylece kapsam gerekçesi ile uygulanan kontroller arasında izlenebilirlik sağlanır.
Sık sorulan sorular
Annex I’deki her şirket essential mıdır?
Hayır. Article 3’teki büyüklük ve özel statü kuralları ayrıca değerlendirilir.
Annex II’deki her şirket important mıdır?
Hayır. Önce Article 2 kapsamında şirketin NIS2’ye girip girmediği, ardından Article 3 sınıflandırması belirlenir.
Important entity Article 21’e tabi midir?
Evet. Article 21 siber risk yönetimi yükümlülükleri important kuruluşlar için de geçerlidir.
Important entity olay bildirimi yapmak zorunda mı?
Evet. Article 23 önemli olay bildirim sistemi essential ve important kuruluşlara uygulanır.
Essential kuruluşlarda denetim daha mı geniştir?
Evet. Article 32, essential kuruluşlar için önceden ve sonradan denetim araçlarını geniş biçimde düzenler.
NIS2 para cezası Türkiye’de doğrudan avro olarak mı kesilir?
Hayır. Direktif üye devletlerin kendi ulusal ceza sistemini kurmasını ister. Article 34 AB düzeyinde asgari azami ceza standardı getirir.
Grup şirketlerinin hepsi aynı sınıfta mı olmalıdır?
Hayır. Her tüzel kişinin sektörü, büyüklüğü, hizmeti ve tabi olduğu üye devlet hukuku ayrı değerlendirilir.
Küçük şirket hiçbir zaman NIS2’ye girmez mi?
Hayır. Direktifte büyüklükten bağımsız kapsama girebilen özel faaliyet ve tanımlama halleri vardır.
Statü bir kez belirlendikten sonra değişmez mi?
Değişebilir. Şirket büyüklüğü, faaliyeti, grup yapısı veya ulusal tanımlama değiştiğinde kapsam yeniden incelenmelidir.
Bakırcı & Keskin Hukuk Bürosu
Bu içerik genel hukuki bilgilendirme amacı taşır; NIS2 statüsü şirketin faaliyet, büyüklük, grup ilişkisi ve üye devlet bağlantısına göre somut olarak belirlenmelidir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
